Zusammenfassung

  • Am 22. Juli 2024 stellte die Ofcom fest, dass BT gegen Abschnitt 105A(1)(c) des Communications Act 2003 und Regulation 9 der Electronic Communications (Security Measures) Regulations 2022 verstoßen hat, und verhängte 17.500.000 Pfund. Die General Condition A3.2 zum Notrufzugang lag im Ermittlungsumfang, trug die Feststellung aber nicht.
  • Regulation 9 galt seit dem 1. Oktober 2022, also neun Monate vor dem Ausfall. Das Instrument, das biss, war vor dem Vorfall geschrieben und verlangt datierte Vorsorge, keine Messung der Ausfalldauer.

Um 06:24 Uhr am 25. Juni 2023 begann die Störung im Primärsystem, mit dem BT Notrufe abwickelt. Die eigene Überprüfung von BT, veröffentlicht am 29. Juni 2023 um 14:30 Uhr Europe/London, führt sie auf ein zuvor nie gesehenes komplexes Softwareproblem zurück: "It was causing a 'caching' issue which resulted in impacted calls not being routed correctly and the user's call being disconnected." Betroffene Anrufe wurden also nicht korrekt geleitet, und die Verbindung des Anrufers brach ab. (BT Group review, 29 June 2023)

Um 16:56 Uhr versorgte das Primärsystem wieder Notrufe – zehn Stunden und 32 Minuten nach Beginn. Um 22:14 Uhr bestätigte BT die Wiederherstellung des Dienstes und das Ende der Abhängigkeit vom Reservesystem. Für nicht zustande gekommene Anrufe nannte BT vorläufig 11.470. Das ist die eigene Zählung des Unternehmens und nicht identisch mit den Anrufer- oder Versuchszahlen, die die Aufsicht später getrennt beschrieben hat.

Die Ofcom kündigte die Ermittlung am 28. Juni an. (Ofcom investigation announcement, 28 June 2023) Der anfängliche Umfang umfasste die General Condition A3.2 sowie die Abschnitte 105A und 105C des Communications Act 2003. Am 13. Juli wurde er auf Textrelais, Notruf-Videorelay, SMS-Zugang über Mobilfunk zu Notruforganisationen und die General Conditions C5.8 bis C5.12 erweitert. (Ofcom enforcement case page)

Die Feststellung vom 22. Juli 2024 lautet wörtlich: "BT has contravened section 105A(1)(c) of the Act and Regulation 9". Auf derselben Fallseite vermerkt die Ofcom zu Abschnitt 105C, zur General Condition A3.2 und zu den Conditions C5.8 bis C5.12: "At this time, we do not propose to pursue making a finding". Das verlangt genaues Lesen. Es heißt nicht, diese Vorschriften seien aus der Entscheidung herausgehalten worden, und auch nicht, sie lägen außerhalb der Befugnisse der Aufsicht. Es ist die Formulierung der Behörde selbst zu dem, was sie zu diesem Zeitpunkt nicht weiterverfolgen wollte. Zur Geldbuße heißt es: "As a result of BT's failures, Ofcom has decided to fine the company £17,500,000." (Ofcom penalty announcement, 22 July 2024)

Nun die Instrumente nebeneinander. Die General Condition A3.2 in der inoffiziellen konsolidierten Fassung vom 15. Dezember 2022 bestimmt: "Regulated Providers must take all necessary measures to ensure: (b) uninterrupted access to Emergency Organisations as part of any Voice Communications Services offered." Dieselbe Fassung enthält in A3.4 den kostenlosen Endnutzerzugang zu 112 und 999. (Ofcom consolidated General Conditions, 15 December 2022)

Regulation 9(1) lautet: "A network provider or service provider must take such measures as are appropriate and proportionate to prepare for the occurrence of security compromises". Die amtliche Nummer ist SI 2022/933: erlassen am 1. September 2022, dem Parlament am 5. September vorgelegt, in Kraft seit dem 1. Oktober. (Electronic Communications (Security Measures) Regulations 2022, SI 2022/933) Regulation 9(2) ergänzt Pflichten zu online und offline im Vereinigten Königreich vorgehaltenen Kopien, deren Ersetzung sowie zu Mitteln und Verfahren, um Sicherheitskompromittierungen zu erkennen, zu bewerten, abzumildern, darauf zu reagieren und sich davon zu erholen. Das ist eine Zusammenfassung, kein Zitat.

Die Datumsfolge erklärt das Ergebnis. Die Vorsorgepflicht galt ab dem 1. Oktober 2022. Der Ausfall ereignete sich am 25. Juni 2023. Das Instrument, auf das sich die Ofcom am Ende stützte, war vorher geschrieben und so gebaut, dass die Belege ebenfalls vorher existieren. Die Notrufpflicht diente nach dem Ereignis als Ermittlungsumfang.

Das ist keine gute Nachricht für BT, sondern härter, als es aussieht. Die vorausschauende Vorsorgepflicht wiegt schwerer als der spätere Nachweis, dass das Netz ausgefallen ist. Was war vorbereitet, wo lagen die Kopien, mit welchem Verfahren wäre die Kompromittierung erkannt worden, wer hätte die Wiederherstellung getragen: Die von Regulation 9(2) verlangten Artefakte müssen ein Datum tragen, das vor dem Vorfall liegt. Die 17.500.000 Pfund sind nicht der Preis für zehn Stunden und 32 Minuten Ausfall. Sie sind der Preis dafür, nicht darauf vorbereitet gewesen zu sein.

Wer also bei der nächsten Störung BT oder andere Betreiber zur Rechenschaft ziehen will, sollte nicht nur auf den "uninterrupted access" der A3.2 schauen. Zu verlangen sind datierte Kopien, Verfahren und Wiederherstellungsprotokolle. Und umgekehrt: Die bloße Tatsache, dass Notrufe ausfielen, führt nicht zu einer solchen Feststellung. Der Weg vom 22. Juli 2024, wie die Ofcom ihn selbst dokumentiert, zeigt diese Trennlinie.

Der hier zitierte Wortlaut der A3.2 stammt aus der konsolidierten Fassung vom 15. Dezember 2022. Eine spätere Fassung existiert und wurde für diesen Artikel nicht gelesen; zur Nummerierung oder Formulierung der Bedingung in späteren Fassungen wird nichts behauptet. Auch das vollständige Entscheidungsdokument der Ofcom wurde nicht gelesen: Alle Aussagen der Aufsicht stammen aus den tatsächlich gelesenen Ankündigungs-, Fall- und Bußgeldseiten. Der Unternehmenseintrag steht im Verzeichniseintrag.

Der 999-Dienst fiel aus. Die Strafe kam nicht deshalb. Was die Regulierungsakte bepreiste, war eine andere Frage: was vor dem Ausfall bereitlag.